为什么centos context会失效

在 CentOS（以及 RHEL 系列）里，context 失效通常指 SELinux 安全上下文（security context）没有按预期生效，比如文件/进程 context 不对、策略不生效、重启后丢失等。下面按常见原因 + 对应现象 + 解决办法说明。

一、SELinux 本身被关闭或未运行（最常见）

现象

• getenforce 显示 Disabled
• 文件怎么改 context 都不生效
• 服务访问不受 SELinux 限制

原因

SELinux 根本没运行，context 只是“标签”，不发挥作用。

检查

getenforce
sestatus

解决

编辑：

vi /etc/selinux/config

确保：

SELINUX=enforcing

重启系统（Disabled → Enforcing 必须重启）。

二、文件系统不支持 SELinux（或挂载未带 context 选项）

现象

• chcon 成功，但 ls -Z 看不到 context
• 重启后 context 消失

常见情况

• 使用 NFS / FAT / NTFS / tmpfs
• 某些容器卷、外部磁盘

检查

mount | grep nfs
df -T

解决

• 本地磁盘使用 ext4 / xfs（支持 SELinux）
• NFS 需加：

context="system_u:object_r:httpd_sys_content_t:s0"

三、restorecon 把 context “改回去了”

现象

• 手动 chcon 后生效
• 重启或执行 restorecon 后失效

原因

SELinux 以 policy + semanage 数据库 为准，不是你手改的 context。

示例

chcon -t httpd_sys_content_t /web
restorecon -Rv /web
# 又变回 default_t

正确做法

semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?"
restorecon -Rv /web

✅ 这样永久生效。

四、目录是新创建 / 软件安装动态生成

现象

• 安装软件后目录 context 不对
• 服务起不来（Permission denied）

原因

新目录继承了父目录 context，不符合服务要求。

解决

restorecon -Rv /var/www/html

或重新打标签：

fixfiles relabel

五、SELinux 策略未加载 / 被禁用模块

现象

• context 正确，但行为不像策略生效
• semodule -l 里缺模块

检查

semodule -l | grep httpd

解决

semodule -e httpd

六、容器环境（Docker / Podman）中的 context 问题

现象

• 宿主机 context 正常
• 容器内不生效或访问被拒

原因

• 容器默认 SELinux 隔离
• volume 没加 :Z 或 :z

解决

docker run -v /data:/data:Z

或：

chcon -Rt svirt_sandbox_file_t /data

七、你改的是“进程 context”，但服务由 systemd 启动

现象

• runcon 手动跑可以
• systemd 启动就失效

原因

systemd 有独立 SELinux 配置。

解决

systemctl edit httpd

加：

[Service]
SELinuxContext=system_u:system_r:httpd_t:s0

快速排查清单 ✅

getenforce
sestatus
ls -Z /path
ps -Z | grep service
semanage fcontext -l | grep path
restorecon -Rv /path

如果你能告诉我：

• CentOS 版本（7 / 8 / Stream）
• 是 文件 context / 进程 context / 服务起不来
• 具体报错（如 avc: denied）

我可以直接帮你定位是哪一条原因。